Dem FBI ist zusammen mit türkischen und marokkanischen Strafverfolgungsbehörden ein Schlag gegen die international agierende Wurm- und Virenschreiberszene gelungen. Die Urheber der gefährlichen Mytob- sowie der Zotob-Würmer, die primär in den USA für Aufregung sorgten und die Server einiger großer Medienunternehmen und anderer Firmen lahm legten, wurden in Marokko und in der Türkei verhaftet. Der 18-jährige, in Russland gebürtige Marokkaner Farid Essebar wird beschuldigt, die Wurmprogramme im Auftrag des türkischen Staatsbürgers Atilla Ekici gegen Bezahlung entwickelt zu haben.
Spuren führten nach Marokko und in die Türkei
Der Marokkaner Farid Essebar trat im Internet unter dem Pseudonym „DiablO“ auf, sein Auftraggeber, der 21-jährige Türke Atilla Ekici, nannte sich „Coder“. Beiden wird vom FBI vorgeworfen, die berüchtigte Mytob-Wurmfamilie sowie die Zotob-Würmer programmiert und im Internet ausgesetzt zu haben. Antivirenexperten hatten beide Pseudonyme im Quellcode des Zotob-Wurms entdeckt. Einzelheiten über die Ermittlungen, die zur Verhaftung der Verdächtigen geführt haben, wurden nicht mitgeteilt. Die marokkanische Polizei habe bei Essebar aber einen Computer mit dem Quellcode der ersten Zotob-Variante sichergestellt, erklärte Louis M. Reigel III von der Cyber Division des FBI. Weiterhin lägen Anzeichen dafür vor, dass bei beiden Verdächtigen kriminelle Motive eine Rolle gespielt hätten. Sie hätten mit ihren Wurmprogrammen Geld verdienen wollen, sagte Reigel. Ekici habe den Marokkaner Essebar offenbar als Wurmprogrammierer angeheuert und bezahlt. Offizielle Stellen in Marokko erklärten darüber hinaus, dass die Verhafteten auch beschuldigt würden, von den PCs ihrer Opfer per Trojaner vertrauliche Finanzdaten gestohlen und an eine kriminelle Bande, die sich auf Kreditkartenbetrug spezialisiert hat, weiterverkauft zu haben. Es wird ihnen vorgeworfen, zu diesem Zweck auch den Trojaner Rbot entwickelt zu haben.
Mytobs Ahnen
Mytob gibt es mittlerweile in rund fünfzig verschiedenen Versionen und gilt als ein besonders gefährliches Schadprogramm. Etliche Wurmvarianten verbreiten sich sowohl via Email als auch direkt übers Internet von PC zu PC. Sie nutzen dabei exakt jene Schwachstelle im lokalen Windows-Sicherheitsdienst LSASS aus, die übrigens auch der deutsche Programmierer des Sasser-Wurms zur Verbreitung nutzte. Die erste Mytob-Variante stammt vom Januar dieses Jahres. Das Wurmprogramm selbst ist eine Modifikation des berühmt berüchtigten Email-Wurms MyDoom, der am 26. Januar 2004 erstmalig gesichtet worden war. Besondere „Berühmtheit“ erlangte Mydoom, weil er nach Einschätzung von Spezialisten der britischen Sicherheitsfirma Messagelabs eine neue Schadprogramm-Ära einleitete. MyDoom gehörte zu den ersten Schadprogrammen, die wirkungsvoll Wurm- und Spamverbreitungstechnologien miteinander verbanden. Zudem zählen die MyDoom-Würmer zu jener Sorte von Schädlingen, die gezielt von Cyberkriminellen ins Netz gesetzt werden – eine Vermutung, die durch die jüngsten Verhaftungen bestätigt wurde.
Würmer mit kriminellem Hintergrund
Die hohe Zahl der Varianten, die mittlerweile von MyDoom bzw. Mytob existieren, kommt nicht von ungefähr. Den kriminellen Urhebern geht es nicht mehr darum, ihren Kreaturen eine möglichst lange Lebensdauer einzuhauchen. Vielmehr setzen sie auf den Überraschungseffekt, auf den blitzartigen Angriff auf die Windows-Computer dieser Welt. Sie nutzen dabei gezielt jenes Zeitfenster, das zwangsläufig zwischen dem Start des Schadprogramms und der Entwicklung von Schutzprogrammen bzw. von aktuellen Virensignaturen entsteht. Bis sich User vor einer neuen Variante schützen können, ist der Schaden schon angerichtet: Genügend PCs sind infiziert. Auf Grund der vielen Varianten wird insgesamt ein hoher „Durchseuchungsgrad“ erzeugt.
Zotob-Epidemie blieb aus
Der Zotob-Wurm ist von ähnlichem Kaliber. Der Wurm, der sich über eine von Microsoft erst kürzlich gepatchte Sicherheitslücke verbreitet, hatte am 17. August in den USA zu größeren Rechnerausfällen insbesondere bei US-Medienunternehmen geführt. Betroffen waren die New York Times sowie die Fernsehsender CNN und ABC. Die sogleich befürchtete Zotob-Epidemie ist allerdings ausgeblieben. Ursache dürfte erstens sein, dass Microsoft die Plug&Play-Lücke bereits während seines Patch-Tages am 9. August per Sicherheitsupdate verschloss und nach Auftreten des Wurmprogramms erhebliche Anstrengungen unternahm, um der Ausbreitung des Schadprogramms entgegenzuwirken. Zweitens sind von Zotob nur Rechner betroffen, auf denen Windows 2000 installiert ist.
Zurück zur News-Übersicht
